La exposición regulatoria en materia de protección de datos no es una amenaza futura. Es una realidad que la Agencia Española de Protección de Datos (AEPD) activa cada año con expedientes sancionadores que afectan a empresas de todos los sectores y tamaños. Operar sin un programa de cumplimiento estructurado no es una decisión neutral: es asumir un riesgo que la dirección puede – y debe – gestionar antes de que se materialice.
Existe una creencia extendida entre directivos y responsables de operaciones: basta con incluir una cláusula de privacidad en la web y en los contratos para estar cubiertos. Esta es la percepción que con más frecuencia encontramos al inicio de un encargo. Y es, también, la que mayor coste puede generar cuando llega una inspección de la AEPD o se produce una brecha de seguridad.
El RGPD no es una formalidad documental. Es un sistema de responsabilidad proactiva: la empresa debe demostrar, en todo momento, que cumple. No basta con no infringir; hay que poder acreditarlo.
¿Qué significa esto en la práctica? El marco aplicable – el RGPD y la LOPDGDD – impone a cualquier organización que trate datos personales un conjunto de obligaciones que actúan de forma simultánea. Las más relevantes para la dirección son las siguientes.
En primer lugar, el registro de actividades de tratamiento. Toda empresa debe documentar qué datos trata, con qué finalidad, sobre qué base jurídica, durante cuánto tiempo y quién tiene acceso. Este registro no es un trámite inicial que se archiva. Es un documento vivo que debe reflejar la realidad operativa de la empresa y actualizarse cuando cambia esa realidad.
En segundo lugar, la acreditación de la base jurídica de cada tratamiento. No todos los datos se pueden tratar bajo el mismo paraguas. El consentimiento, el contrato, el interés legítimo o el cumplimiento de una obligación legal son bases distintas con requisitos distintos. Confundirlas – o no documentarlas – es una de las causas más frecuentes de expedientes sancionadores.
En tercer lugar, los derechos de los interesados. La normativa reconoce a cualquier persona cuyos datos trata la empresa un conjunto de derechos: acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. La empresa debe tener un procedimiento interno para responder a estas solicitudes en el plazo de un mes desde su recepción, prorrogable a dos meses en casos complejos.
En cuarto lugar, el régimen de los encargados de tratamiento. Cualquier proveedor que accede a datos de la empresa – plataformas de gestión, proveedores cloud, consultoras, servicios de nómina – tiene la condición de encargado. La relación debe formalizarse mediante un contrato específico que regule, entre otros extremos, las instrucciones de tratamiento, las medidas de seguridad y los subencargados autorizados.
En nuestra práctica hemos observado que este es el punto donde más empresas presentan lagunas. La mayoría dispone de alguna documentación de privacidad. Muy pocas tienen correctamente formalizados todos sus contratos con encargados. Y aún menos han revisado si esos contratos cumplen los requisitos actuales del RGPD.
Finalmente, el deber de informar a los interesados. Los avisos de privacidad – en la web, en los formularios, en los contratos laborales, en las comunicaciones comerciales – deben ser precisos, completos y actualizados. Un aviso genérico copiado de otra empresa no es suficiente; la AEPD lo verifica y las diferencias son evidentes.
La adaptación al RGPD no es exclusivamente un asunto del área jurídica o del departamento de IT. Involucra decisiones que corresponden a la dirección y que tienen consecuencias sobre la responsabilidad personal de los administradores.
La decisión más urgente que identificamos en cualquier diagnóstico es la relativa al protocolo de notificación de brechas de seguridad. Cuando se produce un incidente que afecta a datos personales – un acceso no autorizado, una pérdida de dispositivos, un ataque de ransomware – la empresa dispone de setenta y dos horas desde que tiene conocimiento para notificarlo a la AEPD, siempre que el incidente pueda suponer un riesgo para los derechos de los afectados. Setenta y dos horas es un plazo extraordinariamente corto. Sin un protocolo preactivado – con responsables designados, criterios de evaluación del riesgo y procedimiento de notificación – ese plazo se incumple casi inevitablemente.
¿Qué consecuencias tiene el incumplimiento de ese plazo? La normativa no establece una sanción automática, pero la ausencia de notificación o la notificación tardía es un agravante relevante en la valoración de la conducta de la empresa por parte de la AEPD. En nuestra experiencia, las empresas que disponen de un protocolo documentado y lo ejecutan correctamente reciben un trato significativamente distinto al de aquellas que reaccionan de forma improvisada.
La segunda decisión crítica es la designación del Delegado de Protección de Datos (DPD). La normativa exige la designación obligatoria en determinados tipos de entidades: autoridades públicas, empresas cuya actividad principal requiera observación sistemática a gran escala de interesados, y entidades que traten categorías especiales de datos a gran escala. Para el resto de empresas, la designación es voluntaria pero estratégicamente recomendable. El DPD puede ser interno o externo; lo relevante es que cuente con los conocimientos y la independencia que exige el marco aplicable.
La tercera decisión es la evaluación de impacto relativa a la protección de datos (EIPD). Cuando una empresa introduce un nuevo tratamiento que pueda suponer un riesgo elevado para los derechos de los interesados – perfilado, datos sensibles, vigilancia sistemática – debe realizar una evaluación previa que documente los riesgos identificados y las medidas adoptadas para mitigarlos. Omitir esta evaluación cuando es exigible es, en sí mismo, un incumplimiento del RGPD.
En cuanto al calendario, la adaptación no tiene un plazo único de implantación. Lo que sí tienen plazo son las obligaciones concretas: la notificación de brechas, la respuesta a los derechos de los interesados, o la actualización del registro de tratamientos tras un cambio relevante en las operaciones. La dirección debe entender que el cumplimiento no es un proyecto con fecha de finalización: es un programa permanente de gestión del riesgo.
Este es el argumento que con mayor frecuencia presentamos al consejo de administración o al comité de dirección cuando abordamos un encargo de adaptación al RGPD.
El coste de la prevención es, en todos los escenarios que hemos analizado, significativamente inferior al coste de la reacción. Implantar un programa de cumplimiento desde cero – registro de tratamientos, contratos de encargados, protocolos de brechas, formación al personal – exige un esfuerzo que la empresa puede planificar, priorizar y repartir en el tiempo. El coste de responder a un expediente sancionador de la AEPD, de gestionar una brecha con afectados, o de defender a los administradores en un procedimiento de responsabilidad, es impredecible y siempre mayor.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la conclusión es la misma: las empresas que abordan la adaptación de forma proactiva reducen materialmente tanto la probabilidad de que ocurra un incidente como el impacto regulatorio cuando ocurre. No porque el cumplimiento evite todos los problemas, sino porque permite demostrarlo ante la autoridad.
¿En qué se traduce esa capacidad de demostración? La AEPD, al valorar la gravedad de una conducta y la sanción aplicable, considera de forma expresa la actitud del responsable del tratamiento. Una empresa que dispone de registro de actividades actualizado, contratos de encargados correctamente formalizados y un protocolo de brechas que ejecutó con diligencia tiene una posición muy distinta a la de una empresa que reacciona desde cero. La diferencia entre ambas posiciones no es teórica: es la diferencia entre una amonestación y una sanción relevante.
El asesoramiento temprano también permite integrar el cumplimiento en los procesos de negocio en lugar de superponerlo como una carga adicional. Una empresa que diseña sus procesos de captación de clientes, sus sistemas de CRM o sus flujos de datos con el RGPD en mente tiene un programa de cumplimiento más robusto y menos costoso de mantener que una empresa que intenta adaptar a posteriori procesos diseñados sin ese criterio.
Nuestra metodología de trabajo en un encargo de adaptación al RGPD tiene cuatro fases diferenciadas, que adaptamos al tamaño, la complejidad y el perfil de riesgo de cada empresa.
La primera fase es el diagnóstico. Analizamos los tratamientos de datos existentes, la documentación disponible, los proveedores con acceso a datos y los procedimientos internos de respuesta a incidentes. El resultado es un mapa del estado actual de cumplimiento y una identificación de las brechas prioritarias. Este diagnóstico es la base sobre la que se construye todo el programa.
La segunda fase es el diseño del programa. Elaboramos o actualizamos el registro de actividades de tratamiento, redactamos o revisamos los contratos de encargados, diseñamos los avisos de privacidad para cada canal y finalidad, y establecemos el protocolo de notificación de brechas. En empresas con tratamientos de alto riesgo, incluimos la realización de la evaluación de impacto.
La tercera fase es la implantación. Acompañamos a la empresa en la ejecución del programa: formación al personal, integración de los procedimientos en los sistemas internos, y formalización de los contratos con encargados. En esta fase trabajamos coordinadamente con los responsables de IT, recursos humanos y operaciones.
La cuarta fase es el mantenimiento. El cumplimiento del RGPD no termina con la implantación. Ofrecemos un servicio de seguimiento que incluye la actualización del programa ante cambios normativos o cambios en las operaciones de la empresa, la gestión de los derechos de los interesados cuando la empresa nos lo encomienda, y el asesoramiento ante inspecciones o expedientes de la AEPD.
Para operaciones con componente transfronterizo – empresas con filiales en otros países de la Unión Europea o con transferencias internacionales de datos – coordinamos con abogados locales de confianza en la jurisdicción correspondiente, garantizando la coherencia del programa de cumplimiento en todas las geografías.
Puede encontrar información adicional sobre nuestra práctica de protección de datos y compliance en la sección correspondiente de nuestro sitio, donde detallamos el alcance de nuestros servicios y los perfiles de empresa a los que dirigimos nuestro asesoramiento.
La adaptación al RGPD es con frecuencia la puerta de entrada a una conversación más amplia: el compliance penal. No es casual. Ambas disciplinas comparten una lógica común: el diseño proactivo de sistemas de control que reduzcan la responsabilidad de la persona jurídica y de sus administradores ante un incumplimiento.
La normativa española de compliance penal exige, para que una empresa pueda invocar la exención o atenuación de responsabilidad penal, la existencia de un modelo de organización y gestión que incluya, entre otros elementos, un canal de denuncias. La Directiva europea sobre protección de los denunciantes, transpuesta al ordenamiento español, añade requisitos específicos sobre la gestión de las comunicaciones recibidas a través de ese canal – incluyendo, de forma relevante, el tratamiento de los datos personales de los denunciantes y de las personas investigadas.
La intersección entre el canal de denuncias y la protección de datos no es menor. El responsable del canal trata datos personales especialmente sensibles: afirmaciones sobre conductas que pueden implicar responsabilidad penal, civil o laboral. El diseño del canal debe garantizar la confidencialidad de la identidad del denunciante, la minimización de los datos tratados y el cumplimiento de los plazos de conservación. Una empresa que implanta un canal de denuncias sin haber resuelto previamente su programa de RGPD está, con toda probabilidad, generando un nuevo incumplimiento mientras intenta remediar otro.
En nuestra práctica asesoramos a empresas que quieren integrar ambas dimensiones – el cumplimiento del RGPD y el programa de compliance penal – en un sistema coherente. Esta integración reduce la carga documental, evita contradicciones entre procedimientos y permite presentar ante cualquier autoridad – la AEPD, la Fiscalía, los juzgados de lo mercantil – un programa de cumplimiento sólido y consistente.
Todos los sectores que tratan datos personales están sujetos al RGPD. Pero la intensidad del riesgo y las obligaciones específicas varían de forma significativa según el tipo de datos tratados, el volumen de interesados y la naturaleza de la actividad.
El sector salud – clínicas, hospitales, aseguradoras sanitarias, empresas de salud digital – trata categorías especiales de datos de forma habitual. Los datos de salud tienen una protección reforzada en el marco del RGPD, lo que implica que las bases jurídicas disponibles son más restringidas, las medidas de seguridad deben ser más estrictas y, en muchos casos, la realización de una evaluación de impacto es obligatoria.
Las empresas tecnológicas – plataformas, aplicaciones, marketplaces, empresas de inteligencia artificial – tratan a menudo datos de un volumen y una diversidad que exigen un programa de cumplimiento especialmente robusto. El desarrollo de productos con datos personales requiere integrar el diseño desde la perspectiva de la privacidad desde las primeras fases del proyecto. La AEPD ha publicado guías específicas sobre el uso de datos en inteligencia artificial y en el desarrollo de aplicaciones, que orientan las expectativas regulatorias en estos entornos.
Las empresas industriales y de manufactura que operan con sistemas de control de acceso biométrico, videovigilancia o seguimiento de empleados tratan datos especialmente sensibles que exigen una justificación jurídica sólida y una documentación rigurosa. El Tribunal Supremo ha asentado criterios en materia de videovigilancia en el entorno laboral que la empresa debe conocer y aplicar.
El sector financiero – bancos, aseguradoras, entidades de crédito, fintech – está sujeto, además del RGPD, a una capa de normativa sectorial con requisitos propios de seguridad de la información y de gestión de incidentes. La intersección entre la normativa prudencial y la normativa de protección de datos genera complejidades que requieren un asesoramiento especializado.
Si su empresa opera en alguno de estos sectores y quiere conocer el estado de su cumplimiento, escriba al equipo de Velarde & Vidal en nuestra oficina de protección de datos y compliance en Pamplona o a través de nuestro correo info@velardevidal.com. Le responderemos con una valoración inicial sin compromiso.
En los diagnósticos que realizamos al inicio de un encargo encontramos, con notable regularidad, un conjunto de déficits que se repiten independientemente del sector y del tamaño de la empresa. Identificarlos es el primer paso para corregirlos.
El primero y más extendido es la ausencia de un registro de actividades de tratamiento actualizado. Muchas empresas disponen de un documento elaborado en 2018 – cuando el RGPD entró en vigor – que nunca ha sido revisado. En ese tiempo, los tratamientos de datos de la empresa han cambiado: nuevos productos, nuevos sistemas, nuevos proveedores, nuevas finalidades. El registro no lo refleja, lo que convierte un documento que debería ser un activo de cumplimiento en una evidencia de descontrol.
El segundo es la falta de contratos de encargado con proveedores clave. Plataformas de correo electrónico, software de gestión, servicios de almacenamiento en la nube, empresas de nómina: todos son encargados de tratamiento. En la mayoría de los diagnósticos que realizamos, una parte relevante de estos contratos no existe, está incompleta o no recoge los requisitos que exige el RGPD.
El tercero es la ausencia de procedimientos internos de respuesta a brechas. La pregunta que formulamos en cada diagnóstico es directa: si mañana detectan un acceso no autorizado a sus sistemas de clientes, ¿quién hace qué, en qué plazo y con qué documentación? En la mayoría de los casos, la respuesta revela que no existe un procedimiento preactivado. Eso significa que, cuando ocurra la brecha, la empresa perderá un tiempo valioso en coordinar una respuesta improvisada, incumplirá el plazo de setenta y dos horas de notificación a la AEPD y quedará expuesta a un agravante evitable.
El cuarto es la formación insuficiente del personal. El RGPD no se cumple solo con documentación. Las personas que tratan datos a diario – comerciales, personal de recursos humanos, atención al cliente – deben conocer los procedimientos aplicables y saber cómo actuar ante una solicitud de derechos o ante un posible incidente. La falta de formación documentada es, además, un elemento que la AEPD valora negativamente al ponderar la conducta de la empresa.
El quinto, y tal vez el más subestimado, es la ausencia de un proceso de revisión periódica. El RGPD no es un proyecto cerrado. Los tratamientos de datos evolucionan, la normativa se desarrolla a través de directrices del Comité Europeo de Protección de Datos y de resoluciones de la AEPD, y los criterios de las autoridades se afilan con la práctica. Una empresa que no revisa su programa de cumplimiento con periodicidad – al menos anualmente, y siempre que se produzca un cambio relevante – pierde la ventaja que le proporcionó la implantación inicial.
Al concluir los encargos de adaptación, entregamos a la dirección un cuadro de estado que refleja el nivel de cumplimiento en cada área. Este es el esquema que utilizamos como referencia.
Si alguno de estos elementos no está en orden en su empresa, el riesgo regulatorio es real. El momento de abordarlo es antes de que llegue una inspección, no después.
Para completar su programa de cumplimiento con las garantías contractuales adecuadas con sus proveedores, le recomendamos revisar también nuestra práctica de contratos de encargado de tratamiento, donde detallamos los requisitos y el alcance de este instrumento jurídico.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.